Borrado de respaldos — la jugada antes del cifrado

Antes de cifrar, el ransomware se asegura de que no haya marcha atrás: borra las copias de sombra del volumen, las instantáneas que permitirían restaurar los ficheros a como estaban. Ese paso es deliberado y rara vez legítimo —ningún trabajo normal vacía las instantáneas de golpe— y aparece en el registro como una acción concreta justo antes del cifrado. Verlo a tiempo, antes de que termine la ráfaga, es lo que da un margen para aislar la máquina.

El analista que conoce esta secuencia no espera al cifrado para alarmarse: el borrado de copias de sombra ya es señal de impacto inminente. Es la jugada que separa un incidente contenible de uno irreversible.

Tras el cifrado, el atacante deja su mensaje: un fichero de texto con las instrucciones de rescate, copiado idéntico en cada carpeta que cifró. Su aparición masiva y repetida es inconfundible —ningún proceso legítimo siembra el mismo fichero de texto en cientos de carpetas— y confirma, por si quedaba duda, que lo que pasó fue ransomware y no un fallo del sistema de archivos. La nota es a la vez el objetivo del ataque y una de sus huellas más claras.

Para el analista, esa nota tiene un uso extra: su nombre, que se repite igual en todas partes, sirve como indicador. Buscar ese mismo nombre en otras máquinas dice de un vistazo cuáles están afectadas por la misma campaña.

Encadenados, los tres movimientos cuentan el ataque entero: borrado de copias de sombra, cifrado en ráfaga y nota de rescate. Por separado, cada uno podría discutirse; juntos, en la misma ventana y desde la misma cuenta, son una firma que no deja lugar a duda. El analista de nivel 1 no tiene que desmontar el malware, pero sí reconocer la secuencia completa y escalarla como un solo incidente de ransomware, no como tres alertas sueltas de tres reglas distintas.

Ver la firma entera también ordena la respuesta: el borrado de respaldos pide comprobar qué se puede recuperar, el cifrado pide aislar la máquina, la nota aporta el indicador. Una sola historia con tres consecuencias prácticas.

En la consola, el impacto sobre del-fs01 tiene tres pasos: el borrado de las copias de sombra, el cifrado en ráfaga y la aparición de un fichero de rescate en cada carpeta. Quédate con el nombre de ese fichero, que es el indicador reutilizable.